Häufig gestellte Fragen
Ist ein Datenschutzbeauftragter beim Einsatz eines ERP-Systems Pflicht?
Ein Datenschutzbeauftragter ist nicht wegen des ERP-Einsatzes selbst, sondern aufgrund unternehmensbezogener Kriterien Pflicht: Nach § 38 BDSG muss eine Benennung erfolgen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, unabhängig davon kann sie nach Artikel 37 DSGVO auch bei besonders risikoreicher oder umfangreicher Verarbeitung erforderlich werden. Da ein ERP von vielen Abteilungen genutzt wird, erreicht der ständige Umgang mit personenbezogenen Daten diese Schwelle in mittelständischen Unternehmen sehr häufig. Eine politisch diskutierte Lockerung dieser Schwellenregelung war Mitte 2026 noch nicht in Kraft, weshalb weiterhin der bestehende Wert von 20 Personen gilt. Maßgeblich für die Beurteilung ist stets das gesamte Unternehmen, nicht allein die Zahl der ERP-Anwender.
Welcher Vertrag ist nötig, wenn das ERP als Cloud-Lösung beim Anbieter läuft?
Wird ein ERP als SaaS- oder Cloud-Lösung betrieben, verarbeitet der Anbieter personenbezogene Daten im Auftrag des Unternehmens, das damit Verantwortlicher im Sinne der DSGVO bleibt. In diesem Fall ist nach Artikel 28 DSGVO ein Auftragsverarbeitungsvertrag erforderlich, der unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung, die technischen und organisatorischen Maßnahmen sowie den Umgang mit Unterauftragnehmern regelt. Fehlt ein solcher Vertrag oder ist er lückenhaft, stellt schon dies einen eigenständigen Datenschutzverstoß dar, unabhängig davon, ob es zu einer Datenpanne kommt. Unternehmen sollten daher vor der Einführung prüfen, ob der Anbieter einen belastbaren Auftragsverarbeitungsvertrag samt aktueller Subdienstleisterliste bereitstellt.
Dürfen personenbezogene ERP-Daten bei einem US-Cloud-Anbieter verarbeitet werden?
Eine Verarbeitung bei US-Anbietern ist möglich, setzt aber eine zulässige Rechtsgrundlage für die Übermittlung in ein Drittland voraus. Seit dem 10. Juli 2023 erlaubt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework Datenflüsse an US-Unternehmen, die unter diesem Rahmen zertifiziert sind, und das Gericht der Europäischen Union bestätigte den Beschluss im September 2025 in erster Instanz. Trotzdem bleibt eine Restunsicherheit, da gegen das Urteil ein Rechtsmittel zum Europäischen Gerichtshof eingelegt wurde und die Tragfähigkeit des Rahmens auch von der US-seitigen Aufrechterhaltung der zugesicherten Garantien abhängt. Für sensible Daten empfiehlt sich daher EU-Hosting oder zumindest eine zusätzliche Absicherung über Standardvertragsklauseln nach Artikel 46 DSGVO als Rückfalloption.
Wie setzt man das Recht auf Löschung in einem ERP-System um?
Sinnvoll ist ein gestaffeltes Löschkonzept, bei dem Daten zunächst gesperrt werden, also durch Entzug von Berechtigung und Sichtbarkeit der aktiven Nutzung entzogen, und nach Ablauf aller gesetzlichen Aufbewahrungsfristen automatisiert gelöscht oder anonymisiert werden. Moderne ERP-Systeme bieten dafür dedizierte Löschmodule mit Datenkategorien, Fristen, Sperrkennzeichen und Protokollierung der Löschvorgänge. Wichtig ist die feldgenaue Differenzierung, weil eine Person zugleich frei löschbare Marketingdaten und aufbewahrungspflichtige Buchungsbelege im System haben kann. In der Praxis variiert die konkrete Ausgestaltung je nach Branche, Größenklasse und Customizing-Tiefe des jeweiligen ERP-Setups.
Wie löst man den Konflikt zwischen Löschpflicht und steuerlicher Aufbewahrungspflicht?
Der vermeintliche Widerspruch lässt sich rechtssicher auflösen, weil die DSGVO selbst Aufbewahrungspflichten anerkennt: Nach Artikel 6 Absatz 1 Buchstabe c ist die Verarbeitung rechtmäßig, soweit sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Buchungsbelege und Rechnungen unterliegen nach Handelsgesetzbuch und Abgabenordnung seit 2025 in der Regel einer achtjährigen Aufbewahrungsfrist, während Handelsbücher, Inventare, Bilanzen und Jahresabschlüsse weiterhin zehn Jahre aufzubewahren sind, und diese Pflichten gehen dem Löschverlangen einer betroffenen Person für die jeweiligen Belege vor. Praktisch werden die betroffenen Daten daher nicht gelöscht, sondern für die laufende Nutzung gesperrt und erst nach Fristablauf entfernt, während frei verfügbare Daten wie Kontakt- oder Marketinginformationen sofort gelöscht werden können. Ein ERP mit Sperrmechanismen und fristgesteuerten Lösch-Workflows kann diesen gestaffelten Ablauf abbilden, ohne dass dauerhaft manuell eingegriffen werden muss.
Welche Bußgelder drohen bei DSGVO-Verstößen im ERP-Umfeld?
Die DSGVO sieht in Artikel 83 ein zweistufiges Bußgeldsystem vor: Formelle Verstöße, etwa ein fehlender Auftragsverarbeitungsvertrag oder ein unvollständiges Verarbeitungsverzeichnis, können mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden. Schwerere materielle Verstöße gegen die Verarbeitungsgrundsätze oder die Betroffenenrechte ziehen Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes nach sich, wobei jeweils der höhere Betrag maßgeblich ist. Da ein ERP häufig große Mengen personenbezogener Daten zentral bündelt, kann sich ein Verstoß auf viele Betroffene auswirken und entsprechend ins Gewicht fallen. Neben dem Bußgeld können zudem Schadensersatzansprüche betroffener Personen und Reputationsschäden hinzukommen.